ISO 37001 審核究竟如何運作？企業應如何作好準備？除了取得一張證書之外，ISO 37001 審核又能帶來甚麼實質的附加價值？我們希望透過這篇案例研究，為 閣下解答上述疑慮。
本次我們特別專訪了法國威立雅集團（Veolia）中央採購部代表 Chong-Lai Kim 先生，他在本次審核中扮演了關鍵角色。Kim 先生將在訪談中分享 DQS 為威立雅執行 ISO 37001 審核的親身體驗。同時，我們亦邀請到主導本次審核的 DQS 資深審核員 Hubert Spahn 先生共同深入探討。透過本次審核，威立雅位於德國的三家子公司順利取得了 ISO 37001:2016 反賄賂管理體系認證。
在深入細節之前，我們先請教 Chong-Lai Kim 先生：能否為我們還原當時的採購與審核流程？
Kim 先生：當然可以。最初由我們的中央採購部門就認證項目進行公開招標。在嚴謹評估各家機構的企劃書後，我們最終選擇了 DQS 作為認證合作夥伴並簽訂合約，隨即啟動認證籌備工作。DQS 的審核員 Hubert Spahn 先生直接與我們各業務部門的同事進行對接，因為他們最清楚具體的營運細節與技術要求。威立雅的企業架構相當複雜，因此前期的協調工作非常繁重。
Spahn 先生：審核結果證實，威立雅集團建立了一套結構專業、運作高效且完全符合 ISO 37001 標準的反貪腐管理體系。透過跨公司一致的制度化文件，確保了企業全面符合法國《薩潘第二法案》（Loi Sapin II）及 ISO 標準的要求。本次審核亦讓威立雅得以首次藉由獨立且權威的第三方證書，向外部利害關係者展現其反賄賂管理體系的卓越實效。
認證背後的法規背景
威立雅母公司（Veolia S.A.）為總部設於巴黎的上市公司。作為在法國當地員工人數超過 500 人、且年營業額達 1 億歐元以上的重大企業，威立雅母公司必須強制遵守《薩潘第二法案》（Loi Sapin II）的最嚴格規範。此外，該法案亦適用於任何設於法國境外、但母公司總部在法國且達到同等規模的子公司。
《薩潘第二法案》是法國旨在打擊貪腐與保護吹哨者的專項法案。該法案緊貼全球反貪腐標準的最新演進，並大量參照了美國《外國反貪腐行為法》（FCPA）及英國《反賄賂法案》（UK Bribery Act）。法案的核心要求，是透過提高企業營運透明度來預防及察覺行賄與貪腐行為，同時強制企業加強內部監控體系並升級對吹哨者的法理保障。
受管轄企業有法律義務導入全方位的合規計劃（Compliance Program），且必須包含以下六大核心要素：
若企業未採取適當措施來預防與察覺貪腐案件，法案規定將對企業處以最高 1,000 萬歐元的罰款，對企業高管處以最高 20 萬歐元的個人罰款，嚴重違规者甚至面臨刑事監禁。法案的執行與合規審查，由法國專門設立的國家級機構「國家反貪腐署」（Agence Française Anti-Corruption, AFA）全程監督。
這項全方位的立法在法國尚屬首次。這意味著所有總部設於法國或與法國有業務關聯的企業，均必須重新審視其內部合規計劃，確保切實符合《薩潘第二法案》的反貪腐與反賄賂標準。
首先恭喜威立雅順利取得優異成績！接著想請教 Hubert Spahn 先生：ISO 37001 審核在實務上是如何執行的？
Spahn 先生：首先我想特別釐清一點：依據 ISO 37001 執行的反貪腐管理體系審核，並非司法取證審核（Forensic Audit），也就是說，我們不會去調查潛在的刑事犯罪行為。然而，審核過程表明，必須讓所有參與審核的員工（尤其是接受訪談者）明白，他們並非被懷疑或指控的對象。
因為 ISO 37001 實質上只能進行「逆向審核」（Backwards Audit）——這意味著審核員必須從「犯罪者」的角度去剖析流程與標準，目的是找出企業內部可能存在的潛在漏洞、風險暴露點或貪腐的「警號」（Red Flags）。為了推演風險，審核過程必須假定相關人員具備犯罪意圖，這會給受訪員工帶來直接心理壓力。事實證明，員工過去往往極難想像貪腐企圖會在何處發生。
Kim 先生：誠實地說，審核員提出的問題起初確實讓人感到有些陌生，這些不是日常會被問到的問題，但卻留下了深刻的思考空間。對我個人而言，這是一種全新的提問維度。
這樣的審核顯著提升了跨部門對該議題的重視程度。畢竟除了採購部門，銷售部、財務會計部及人力資源部均深度參與其中，每個人都與 Hubert Spahn 先生進行了面對面訪談。
這次審核讓我重新警醒了許多細節，特別是在與供應商打交道時應保持何種程度的警覺與審慎。訪談結束後，我立即在團隊內部討論了這個主題。畢竟，採購部門與銷售部門一樣，在貪腐風險面前都是極度脆弱的環節。
Kim 先生：雖然大家過去在培訓中都有基本概念，但這次審核無疑是一聲「警鐘」。在例行培訓中聽到這個主題是一回事，但在真實審核中被審核員直接質詢又是完全不同的體驗。
Spahn 先生：儘管威立雅內部推行了高質素的合規培訓，但審核進一步深化了員工對潛在貪腐形態的認知。特別是在審核中識別「警號」（即員工、同事或合作夥伴潛在違法行為的蛛絲馬跡），顯著提升了全員的合規意識，被企業視為高附加價值的環節。
Spahn 先生：特別是在設有多層審批流程的大型集團與組織中，大家必須意識到：貪腐往往需要涉案人員具備極高的犯罪意圖才能實現。因為貪腐通常只是「前置犯罪」，後續往往伴隨詐騙等犯罪行為（例如德國刑法典第 263 條），甚至演變成團夥犯罪。貪腐的終極目的，是促使受賄者作出有利於行賄者的行為，而這往往會損害企業或公眾的利益。一個擁有強烈犯罪意圖且一心謀取私利的人，是任何制度都難以完全阻止的，我們必須清醒地認識到這一點。
在 ISO 37001 認證的公開審核場景中，試圖揭露這種隱蔽的犯罪意圖極其困難，這亦非 ISO 審核的核心目標。但透過導入反貪腐管理體系，企業能顯著增加這些違法行為的實施難度，並大幅提升犯罪行為被察覺的概率——而這正是體系建設的精髓目標。
最近歐盟議會發生的貪腐醜聞更加印證了個人與體系在貪腐面前的脆弱性，以及此類事件對組織形象造成的致命打擊。透過 ISO 37001 認證，企業能向客戶及商業夥伴展現極高的透明度與信任度。獨立的第三方審核能持續推動管理體系的演進，進而保障組織內部的全面合規。
(本專訪由 Constanze Illner 主持撰寫)
康斯坦茨·伊爾納（她/她的代名詞）是永續發展和食品安全領域的研究與傳播官員。她密切關注該領域的所有重要動態，並透過每月通訊向我們的客戶通報相關資訊。她也負責主持一年一度的「永續發展英雄」大會。
